如何确保ActiveStorage请求含signed_id或通过encoded_key关联父模型？

一、确保signed_id始终存在的方案 #

1. 检查ActiveStorage服务配置 #

确保你的存储服务为私有配置：

• 磁盘存储（config/storage.yml）：不要设置public: true，默认即为私有

  local:
    service: Disk
    root: <%= Rails.root.join("storage") %>
    # 禁止添加 public: true
  

• 云存储（如S3）：将存储桶权限设为私有，且ActiveStorage配置中不开启公开选项

2. 上传时避免设置public属性 #

上传附件时，不要添加public: true参数，确保附件默认私有：

# 错误写法（会生成无签名的公开URL）
model.attachment.attach(io: file, filename: "sample.pdf", public: true)

# 正确写法
model.attachment.attach(io: file, filename: "sample.pdf")

3. 规范URL生成逻辑 #

始终使用rails_blob_path/rails_blob_url生成URL，避免自定义逻辑跳过签名。若需自定义，要确保调用签名URL生成方法：

# 强制生成带签名的URL
model.attachment.url(disposition: 'attachment', expires_in: 1.hour)

二、通过encoded_key反向获取父模型的方法 #

如果确实遇到仅存在encoded_key的场景，可通过以下步骤关联到父模型：

# 解码encoded_key得到Blob的原始key
blob_key = Base64.urlsafe_decode64(params[:encoded_key])
# 通过key查找Blob
blob = ActiveStorage::Blob.find_by(key: blob_key)
# 关联到Attachment（注意：一个Blob可能被多个模型关联，需根据业务筛选）
attachment = blob.attachments.first
# 获取父模型记录
record = attachment&.record

# 后续执行权限检查
if record && current_user.can_access?(record)
  # 允许访问
else
  # 拒绝访问
end

注意：该方式仅作为应急 fallback，因为公开URL的encoded_key可被任意用户获取，无法保证安全性，优先推荐确保生成带signed_id的私有URL。

内容的提问来源于stack exchange，提问作者Kurt Peniket